6MM API Autenticazione: chiavi JWT e API
6MM API Autenticazione: chiavi JWT e API
6MM supporta JWT access token e API Keys per l’accesso privato API . Scegli il metodo in base al fatto che la richiesta appartenga a una sessione utente interattiva o a un’integrazione backend di lunga durata.
Scegli un metodo di autenticazione
JWT
Dopo l’accesso, il API restituisce un accessToken. Quando si chiamano endpoint privati, si include:
Tieni il token fuori da URL e log. Quando un token scade, ottieni un token valido tramite il login approvato o il flusso di aggiornamento prima di riprovare la richiesta privata.
API Key
Quando è presente l’intestazione X-API-KEY richiesta, il server utilizza API Key HMAC autenticazione:
API Key endpoint di gestione devono utilizzare JWT. API Keys non riesce a gestirsi da sole.
API Key richieste richiedono anche il timestamp e la firma HMAC descritti in Request Firming. Memorizza il corrispondente segreto API solo in un sistema di gestione dei segreti backend.
API Key Permessi
Per concedere sia permessi di lettura che di commercio, usa permissions=3.
Usa il set di permessi più piccolo richiesto dall’integrazione. Un servizio di dati di mercato non dovrebbe ricevere permessi di scambio, mentre un servizio di ordini necessita del permesso di contrattazione anche quando interroga solo ordini o posizioni.
Checklist per la sicurezza della produzione
- Creare chiavi API separate per sviluppo, staging e produzione.
- Applicare una whitelist IP dove l’integrazione ha indirizzi outbound stabili.
- Non esporre mai API segreti nel codice di browser, mobile o desktop.
- Sincronizzare l’ora del server prima di generare richieste firmate.
- Redatere le intestazioni di autorizzazione, API Chiavi, firme e segreti dai log delle applicazioni.
- Revocare e sostituire immediatamente una chiave quando si sospetta esposizione.